เจาะลึกมาตรฐาน ISO 27017 และ ISO 27018: เกราะป้องกันคลาวด์และการคุ้มครองข้อมูลส่วนบุคคลระดับสากล

ความสำคัญของส่วนต่อขยาย ISO 27017 และ ISO 27018 ในยุค Cloud-First

เมื่อองค์กรธุรกิจและผู้ให้บริการระบบสารสนเทศปรับเปลี่ยนโครงสร้างพื้นฐานขึ้นสู่ระบบคลาวด์ การอาศัยเพียงมาตรฐาน ISO/IEC 27001 อาจไม่ครอบคลุมความเสี่ยงเฉพาะตัวของสภาพแวดล้อมคลาวด์ได้อย่างสมบูรณ์ ด้วยเหตุนี้ มาตรฐาน ISO 27017 และ ISO 27018 จึงกลายเป็นเครื่องมือสำคัญในการเสริมสร้างความเชื่อมั่นให้กับคู่ค้า ลูกค้า และผู้ตรวจประเมินจากภายนอก

• ISO/IEC 27017: เป็นแนวปฏิบัติการควบคุมความมั่นคงปลอดภัยสำหรับบริการคลาวด์ (Code of practice for information security controls for cloud services) โดยมีมาตรการควบคุมเพิ่มเติมเจาะจงกับคลาวด์ เช่น การแบ่งแยกหน้าที่ความรับผิดชอบระหว่างผู้ให้บริการ (CSP) และผู้ใช้บริการ (CSC) การป้องกันระบบเสมือน (Virtualization) และการเฝ้าระวังความเคลื่อนไหวในระดับ Tenant
• ISO/IEC 27018: เน้นไปที่การคุ้มครองข้อมูลระบุตัวบุคคล (Personally Identifiable Information: PII) ในบริการพับลิกคลาวด์สำหรับผู้ทำหน้าที่ประมวลผลข้อมูล (PII Processors) มีข้อกำหนดเข้มงวดเกี่ยวกับการห้ามใช้ข้อมูลลูกค้าเพื่อการโฆษณาโดยไม่ได้รับความยินยอม การเข้ารหัสข้อมูลส่วนบุคคล และการแจ้งเตือนกรณีข้อมูลรั่วไหล

การเชื่อมโยงสู่นโยบายความปลอดภัยและการปฏิบัติตามกฎหมาย PDPA / GDPR

การนำกรอบการทำงานตาม ISO 27018 มาปรับใช้ช่วยลดภาระการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลอย่าง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ของไทย และ GDPR ของสหภาพยุโรป เนื่องจากมีกลไกตรวจสอบสิทธิของเจ้าของข้อมูล (Data Subject Rights) การกำหนดอายุการจัดเก็บข้อมูล และการควบคุมการเข้าถึงข้อมูลตามหลัก Least Privilege ที่สอดคล้องกับข้อกำหนดทางกฎหมายอย่างลงตัว

นอกจากนี้ องค์กรระดับสากลหลายแห่งเลือกผ่านการตรวจประเมิน ISO 27001 ร่วมกับการขยายขอบเขตไปยัง ISO 27017 และ ISO 27018 เพื่อแสดงหลักฐานต่อลูกค้า Enterprise โดยไม่ต้องผ่านการตรวจสอบ Due Diligence ซ้ำซ้อนหลายรอบ

ข้อเสนอแนะในการประยุกต์ใช้สำหรับองค์กรไทย

1. จำแนกบทบาท Shared Responsibility Model: กำหนดขอบเขตความรับผิดชอบด้านความมั่นคงปลอดภัยระหว่างองค์กรกับผู้ให้บริการคลาวด์ (เช่น AWS, Azure, Google Cloud) ให้ชัดเจนตามแนวทาง ISO 27017
2. จัดทำบันทึกและระบบควบคุม PII บนคลาวด์: ตรวจสอบเส้นทางการจัดเก็บและการประมวลผลข้อมูลส่วนบุคคลบนคลาวด์ตาม ISO 27018 โดยเปิดใช้งานการเข้ารหัสทั้งขณะจัดเก็บ (At Rest) และขณะส่งผ่านเครือข่าย (In Transit)
3. บูรณาการตรวจรับรองแบบ Multi-Framework: สำหรับองค์กรที่ให้บริการ SaaS หรือ Cloud Hosting ควรวางแผนขอรับการตรวจรับรอง ISO 27001 ควบคู่กับ ISO 27017 และ ISO 27018 ไปพร้อมกัน เพื่อลดต้นทุนและระยะเวลาในการเตรียมเอกสารหลักฐาน

---

แหล่งอ้างอิง

1. F5 Trust Center - ISO 27001, ISO 27017, ISO 27018
2. ISO/IEC 27001:2022 Standard Overview